PT-2026-48390 · Unknown · Concrete Cms
CVSS v4.0
8.4
عالية
| المتجه | AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Concrete CMS الأقدم من 9.5.2
الوصف
يحدث حقن كائنات PHP بسبب عملية إزالة التسلسل غير الآمنة داخل مكونات «الأذونات» و«ذاكرة التخزين المؤقت» و«البحث». تستخدم هذه المكونات الدالة
unserialize() على البيانات المخزنة دون تقييد الفئات المسموح بها. يمكن لمهاجم غير مصدق أن يؤدي إلى إنشاء مثيلات كائنات PHP عشوائية إذا تم وضع حمولة خبيثة مُسلسلة في قاعدة البيانات، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. تتطلب هذه العملية أن يتمتع المهاجم بامتيازات عالية لكتابة البيانات الخبيثة المُسلسلة إلى المخزن ذي الصلة.التوصيات
الترقية إلى الإصدار 9.5.2 أو أحدث.
استغلال
إصلاح
RCE
Deserialization of Untrusted Data
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Concrete Cms